Apache Camel OPC-UA客户端与Keystore连接机制及测试咨询

一、Camel与Keystore的连接机制 #

Camel的OPC-UA组件基于Eclipse Milo实现，其证书加载逻辑完全复用Milo的Keystore管理体系：

• Camel配置参数中的keystoreUrl、keystorePassword、keyPassword，本质是向Milo客户端传递Keystore的访问信息，Milo会从指定路径读取JKS/PKCS12格式的Keystore，提取其中的客户端证书与私钥，用于OPC-UA的双向TLS认证。
• 要求Keystore中必须存储包含私钥的密钥对条目，而非单独的证书文件。

常见加载失败原因与解决： #

• 路径错误：确保keystoreUrl使用正确的相对路径（相对于应用工作目录）或绝对路径，比如file:/opt/camel/client.jks。
• 密码不匹配：keystorePassword是Keystore本身的密码，keyPassword是密钥条目的密码（若与Keystore密码一致可省略）。
• 格式不兼容：仅支持JKS和PKCS12格式，其他格式（如PEM）需先转换：

  # PEM转PKCS12
  openssl pkcs12 -export -in client-cert.pem -inkey client-key.pem -out client.p12 -name camel-opc-client
  

• 无有效密钥对：用keytool验证Keystore条目：

  keytool -list -v -keystore client.jks
  

  需确认存在PrivateKeyEntry类型的条目。

正确配置示例： #

// 路由配置方式
from("opcua://localhost:4840?nodeIds=ns=2;s=MyVariable&keystoreUrl=file:./client.p12&keystorePassword=test123&keyPassword=test123")
    .to("log:opcua-data");

// 自定义组件配置方式（更灵活）
OpcUaComponent opcUaComponent = new OpcUaComponent();
opcUaComponent.setOpcUaClientConfigurer(clientBuilder -> {
    try {
        KeyStore keyStore = KeyStore.getInstance("PKCS12");
        try (InputStream is = new FileInputStream("./client.p12")) {
            keyStore.load(is, "test123".toCharArray());
        }
        clientBuilder.setKeyStore(keyStore);
        clientBuilder.setKeyPassword("test123".toCharArray());
    } catch (Exception e) {
        throw new RuntimeException("加载Keystore失败", e);
    }
});
getContext().addComponent("opcua", opcUaComponent);

二、局域网自托管Keystore测试方案 #

不需要复杂的第三方服务，可通过以下方式快速生成测试用Keystore：

1. 用keytool生成自签名Keystore：

   # 生成JKS格式Keystore，包含自签名客户端证书
   keytool -genkeypair -alias camel-test-client -keyalg RSA -keysize 2048 -storetype JKS -keystore test-client.jks -validity 3650 -storepass test123 -keypass test123 -dname "CN=Camel OPC Client, OU=Test, O=Example, L=Beijing, ST=Beijing, C=CN"
   

2. 局域网共享Keystore：将生成的test-client.jks放在局域网共享文件夹（如SMB共享），Camel应用通过绝对路径访问，比如file:////192.168.1.100/share/test-client.jks。
3. 图形化管理工具：使用KeyStore Explorer（可在局域网内任意机器运行）可视化生成、编辑Keystore，导出后复制到应用目录即可。

内容的提问来源于stack exchange，提问作者MariusB